物聯網是未來大趨勢，真的說過很多遍，而物聯網衍生的資訊保安問題，Unwire.pro 也多次報導過。物聯網時代即將來臨，但仍然很多消費者未有正視有關問題，而有所正視的人卻又苦於缺乏有效的對策。未來資訊保安服務應該怎樣應對？趨勢科技雲端及數據中心保安副總裁兼總經理 Bill McGee，早前在港出席 CLOUDSEC 2014 論壇探討了物聯網時代下的保安對策。
6 年後全球將有 260 億台物聯網裝置
據 IDC 預測，2014 年全球將有超過 90 億物聯網裝置付運；Gartner 更預測在 2020 年時更將超過 260 億台。TrendLabs 分析報告亦指出，至 2016 年全球將有超過 85% 的平面電視具備智慧功能，屆時全球智能電視年產量將成長至 1.98 億台。
隨著近年各種智能設備面世，物件與物件之間也能透過 Wi-Fi 或藍牙的方式連接溝通，物聯網一方面可作為工商機構拓展 Big Data 分析的利器，但物聯網的興起卻同時又為企業及家居 IT 環境帶來新的網絡保安挑戰，機構必須以嶄新策略和解決方案來應對所帶來的風險。
隨著雲端產業的發達，在未來以物聯網及雲端產業相互合作的應用是一個必然趨勢。趨勢科技雲端及數據中心保安副總裁兼總經理 Bill McGee，早前就來港出席 CLOUDSEC 2014 論壇就目前各類機構的主要保安疑慮提出獨到的見解，並發表主題演說：「保護你的萬物互聯主幹」。
不能只著眼支節上而忽略骨幹
「近年萬物互聯的發展一日千里，不少機構都研究並採納這科技趨勢。但很多時候方便的 IT 工具背後也是保安漏洞的溫床，這些採納物聯網的機構往往都忽略了同時升級其保安措施的必要性。」 Bill McGee 表示：「如果機構只是將現有的保安模式應用到物聯網環境，肯定會出現問題。」
Bill McGee 認為如一味著眼在支節上，IT 保安將永無寧日，因此與其思考怎樣在不同物件上安裝保安工具，還不如在主幹的後台服務入手來得實際。在物聯網時代做資訊保安，環境跟以前只有電腦的時代很不同。基本上每件物件在萬物互聯下都有可能連上網路，要使用者為每件物品都安裝保安軟件是不可能的。
物聯網令環境中連網裝置數量大為增加，加上企業愈來愈廣泛應用虛擬化技術，不僅令 IP 和應付系統運作量也快速增加，也使各個不同環節都可能出現漏洞，令企業 IT 管理人員愈來愈疲於奔命。但是這些連網裝置並非都是直接連到互聯網，而是跟一個核心的後台系統連接，換言之只要能從這骨幹部分著手就能解決很多問題。
前後端也可能成為入侵渠道
Bill McGee 把攻擊的目標分為四類，即是人、物、數據、程序。Bill McGee 簡化整個網絡架構為服務的「前端」和「後端」，前端可以是連網的物件，或者是網站前台，而後端則是伺服器。在這架構中，駭客攻擊可大致分為 4 大類型：針對前端的攻擊、針對後端的攻擊、針對後端前往前端的資料竊取，和以前端為踏板向後端進行的攻擊。
以自動導航汽車為例，如果自動導航汽車被入侵也可能帶來大災難。Bill McGee 認為在這例子中自動汽車是前端，導航系統是後端，駭客要動手腳的話，就可從駭入汽車本身或是駭入後台導航系統，更可能以駭入汽車為跳板，攻擊後台導航系統，或是以駭入後台導航系統，再提供錯誤資訊給汽車引發車禍。
套回早面提過的四種攻擊目標，駭客是以誰為攻擊對象？要暗殺車中的重要人士（人）？要破壞這台汽車（物）？偷取他的日常出門習慣（數據）？為了搞亂全套導航系統（程序）？只要搞清楚目標就能有更清晰的方向來做保安。
前後端各需有相應保安對策
從前端來看，Bill McGee 認為保安的責任在於生產商，因此生產商有必要正視有關問題，一旦遇上漏洞便應給予消費者應對的方法。例如早前 Nest 智能調溫系統就是前端本身可被駭客動手腳，而廠商也立即透過送更新把修正。但他也同意並非所有廠商都有這種責任感，而在消費者的角度也只有「選購有責任感的廠商產品」的選擇，因為大多數消費者都沒能力自行為前端裝置做漏洞修補。
而從後端，即伺服器的角度來看就易解決，目前市面上已有各種第三方所提供的安全軟件為原有的服務加值。Bill McGee 表示，家居和企業環境並不一樣，透過在機構的核心網路中加入硬件防火牆系統，或是惡意程式偵測軟體，便能監察到所有經公司網絡來往的網路流量，如果出現有可疑流量的話，其實也能及早發現。
即使採用的是雲端的 IaaS 系統也同樣沒問題，因 Amazon Web Service、Microsft Azure、VMware Cloud 等都支援趨勢科技產品，可為後端平台即時加上保護。尤其在 VMWare 上更是非常便利，因趨勢科技與 VMWare 合作緊密，使趨勢科技的軟體甚至可在 Hypervisor 的層面上進行防護。至於前後端之間的溝通，即四種類型中的餘下兩種攻擊，Bill McGee 則認為可透過加密連線可提高安全性。
家居環境須靠提高消費者安全意識
但在家居以至戶外環境就較麻煩。由於公共設施也愈來愈智能，如果高速公路的燈號系統被入侵，可以引發的影響更不堪設想。早在今年六月時美國北卡羅來納州便有案例，有交通號誌遭到駭客入侵，將標誌上的內容改成「Hacked by Sun Hacker Twitt Wth Me」。
Bill McGee 表示，公共設施的物理保護可透過警備人員來提供，但如果日常家居使用的物品，就需要物主自己本身正視安全問題。以手機為例，有很多使用者會為了一些便利功能而自行替裝置破解，但這些 Jailbreak 或 Root 裝置卻很易成為駭客攻擊的目標。
而在家居的其他連網裝置，其實不少是透過手機或平板來連線，換言之只要手機本身不安全的話，其他裝置也不會能夠安全。從這角度而言，其實手機就負起了「後端」的角色，只要手機本身是安全的，這些裝置也能安全。
因此他給予一般數碼消費者的建議是，不要隨便為了便利而破解智能手機或平板裝置，也不要胡亂在可疑的地方下載程式安裝。如非必要的話，連網裝置不應長期連到互聯網，只局限在家居的內聯網就可以。